LGPD para sites em 2026: o que a lei exige de cookies, formulários, política de privacidade e encarregado

A resposta curta

Se o seu site tem um formulário, um analytics ou um pixel de anúncio, ele trata dados pessoais e a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) vale para ele. Na prática, a lei pede cinco coisas de um site:

1. Uma base legal para cada finalidade (art. 7º). Consentimento é só uma das dez. Um formulário de orçamento cabe em "procedimentos preliminares relacionados a contrato"; cookies de publicidade, segundo a ANPD, quase sempre pedem consentimento.
2. Uma política de privacidade com os sete itens do art. 9º, que descreva o que o site realmente coleta.
3. Um banner que deixe recusar, se você usa consentimento: o Guia Orientativo de Cookies da ANPD desaconselha o botão único "Aceito" e os cookies não necessários ativados por padrão.
4. Um encarregado (DPO) publicado no site, ou, para microempresas, empresas de pequeno porte e startups, ao menos um canal de contato com o titular (Resolução CD/ANPD nº 2/2022, art. 11).
5. Um mecanismo para mandar dados ao exterior quando o analytics, o CRM ou a hospedagem ficam fora do Brasil (Resolução CD/ANPD nº 19/2024).

A multa simples chega a 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração (art. 52). Em 24 de agosto de 2026, a ANPD aplicou à ByteDance Brasil, dona do TikTok, multas que somam R$ 153.769.671,33 em primeira instância.

Lemos a lei, as resoluções e os documentos da ANPD citados aqui em 17 de outubro de 2026. Este guia não é aconselhamento jurídico: use-o para organizar o trabalho e leve as decisões ao seu advogado.

O que conta como dado pessoal num site

Para a lei, dado pessoal é qualquer "informação relacionada a pessoa natural identificada ou identificável" (art. 5º, I). Num site, isso inclui o nome e o e-mail de um formulário, mas também o que identifica alguém de forma indireta: o endereço IP nos registros do servidor, o identificador que um cookie guarda e o perfil de navegação montado a partir dele. O art. 12, § 2º, diz que dados usados para formar o perfil comportamental de uma pessoa identificada também são dados pessoais.

Antes de escrever qualquer política, faça o inventário. Abra o site numa janela anônima, abra as ferramentas do navegador, vá à aba Rede e anote cada domínio de terceiros que carrega: analytics, pixels de anúncio, chat, mapa, vídeo incorporado, fonte externa, formulário. Repita depois de enviar um formulário. Esse inventário é a base de tudo o que vem a seguir: uma política que não bate com ele não cumpre o art. 9º, por mais bem escrita que seja.

Base legal: uma para cada finalidade

O art. 7º lista dez hipóteses que autorizam o tratamento. Não existe hierarquia entre elas, e o consentimento não é a regra. Para um site, estas são as que mais aparecem:

Sobre os registros de acesso: o art. 15 do Marco Civil da Internet obriga o provedor de aplicações que seja pessoa jurídica e atue "com fins econômicos" a guardar esses registros por 6 meses, sob sigilo. Se o seu site se enquadra é uma pergunta para o advogado; o que não muda é que esses registros são dados pessoais e precisam aparecer na política.

Cada base tem condições próprias:

• Consentimento precisa ser livre, informado e inequívoco (art. 5º, XII), referir-se a finalidades determinadas (autorizações genéricas são nulas, art. 8º, § 4º) e poder ser revogado "por procedimento gratuito e facilitado" (art. 8º, § 5º). Quem prova que o consentimento foi válido é você (art. 8º, § 2º), então guarde o registro de cada aceite.
• Legítimo interesse só cobre os dados "estritamente necessários" para a finalidade e exige transparência (art. 10, §§ 1º e 2º). O titular pode se opor (art. 18, § 2º), e a ANPD pode pedir um relatório de impacto (art. 10, § 3º).
• Crianças exigem consentimento específico de pelo menos um dos pais ou responsável (art. 14, § 1º). Se o seu site ou produto é direcionado a crianças e adolescentes, ou tem acesso provável por eles, vale também o Estatuto Digital da Criança e do Adolescente (Lei nº 15.211/2025), em vigor desde 17 de março de 2026, data fixada pela Lei nº 15.352/2026. A mesma Lei nº 15.352/2026 transformou a ANPD em Agência Nacional de Proteção de Dados.

Política de privacidade: o conteúdo mínimo

O art. 9º garante ao titular acesso "claro, adequado e ostensivo" a sete informações. Traduzidas para um site, ficam assim:

Some a isso a identidade e o contato do encarregado (art. 41, § 1º), a seção de cookies e, se houver transferência internacional, as informações exigidas pela Resolução nº 19/2024 (veja abaixo).

A política não pode ser genérica: se ela fala em cookies "para melhorar a experiência" e o site carrega um pixel de anúncios, a informação não é clara nem específica. E ela muda quando o site muda: o art. 8º, § 6º, manda avisar o titular, com destaque, quando a finalidade, a forma, a duração, o controlador ou o compartilhamento mudam. Coloque a data da última atualização no topo.

Cookies e analytics segundo o guia da ANPD

O Guia Orientativo "Cookies e proteção de dados pessoais" é de outubro de 2022 (versão 1.0) e continua sendo a referência da ANPD para o tema. O guia não é lei, mas mostra como a autoridade lê a LGPD. Ele separa os cookies em necessários e não necessários, e é essa divisão que define a base legal:

• Necessários (login, carrinho, pagamento, segurança): o guia diz que o consentimento não é a base apropriada, porque o visitante não tem escolha real, e aponta o legítimo interesse.
• Analíticos ou de desempenho: podem se apoiar no legítimo interesse "em determinados contextos". O guia descreve as condições: medição limitada a padrões e tendências, com dados agregados, sem combinação com outros mecanismos de rastreamento e sem formar perfis. No exemplo 4 do guia, o aviso explica a finalidade, a retenção e a possibilidade de oposição.
• De publicidade: o guia diz que o legítimo interesse "dificilmente" será a base mais apropriada, sobretudo com cookies de terceiros, perfis ou rastreamento entre sites. O consentimento é a base indicada.

O teste prático para o seu analytics: se ele alimenta públicos de remarketing, é integrado à conta de anúncios ou é cruzado com o CRM para montar perfis, ele saiu da "medição de audiência" descrita no guia e entra na lógica da publicidade. Se você ainda está escolhendo a ferramenta, comparamos GA4 e PostHog, incluindo consentimento e local de armazenamento, em PostHog vs Google Analytics.

O banner: o que a ANPD recomenda e o que desaconselha

As duas listas do guia, resumidas:

O guia também diz que não é recomendável presumir que quem continua navegando consentiu. E o banner precisa fazer o que promete: as tags de anúncio não podem disparar antes do aceite. Para testar, abra o site numa janela anônima, clique em rejeitar e veja na aba Rede se algum pixel de anúncio carregou mesmo assim. Se carregou, nenhum texto de política corrige o problema: é preciso mudar a configuração das tags.

Um banner nem sempre é obrigatório. Se o site só usa cookies necessários e um analytics que cumpre as condições do guia, o guia admite que você não peça consentimento; ainda assim, é preciso informar e oferecer a oposição, como no exemplo 4.

Formulários de contato e newsletter

No formulário, os princípios do art. 6º viram decisões de campo:

• Necessidade (art. 6º, III): peça só o que a resposta exige. Para um orçamento, nome, e-mail e a descrição do projeto bastam; CPF, data de nascimento e endereço completo não.
• Finalidade separada: se você quer mandar newsletter para quem pediu orçamento, use uma caixa própria, desmarcada, com o texto do que a pessoa vai receber. Uma caixa que mistura "aceito os termos" e "aceito receber ofertas" junta finalidades que o art. 8º, § 4º, manda separar.
• Fim do tratamento: quando a finalidade se esgota, o dado deve ser eliminado (arts. 15 e 16), salvo exceções como obrigação legal. Defina um prazo para os leads que não viraram clientes e cumpra-o.
• Segurança (art. 46): formulário em HTTPS, acesso à caixa de entrada e ao CRM restrito a quem precisa, e autenticação em dois fatores nas contas.
• Incidente: se um vazamento puder causar risco ou dano relevante, o controlador comunica a ANPD e o titular em 3 dias úteis, conforme a Resolução CD/ANPD nº 15/2024. Agentes de pequeno porte têm prazo em dobro (Resolução nº 2/2022, art. 14).

A ferramenta que recebe o formulário (RD Station, HubSpot, Google Forms) trata os dados por você: é operadora e entra na política, no item de uso compartilhado.

Encarregado (DPO) e a dispensa para pequenos negócios

O art. 41 manda o controlador indicar um encarregado e divulgar a identidade e o contato dele, "preferencialmente no sítio eletrônico". A Resolução CD/ANPD nº 18/2024 detalhou a regra:

• A indicação é feita por ato formal: um documento escrito, datado e assinado (art. 3º).
• A identidade e o contato vão para o site "em local de destaque e de fácil acesso" (art. 9º), com pelo menos o nome completo, ou a razão social e o nome do responsável se o encarregado for uma empresa.
• O contato publicado precisa permitir o exercício dos direitos e o recebimento de comunicações da ANPD (art. 9º, § 2º).

A dispensa. A Resolução nº 2/2022 dispensa os agentes de tratamento de pequeno porte de indicar encarregado (art. 11). Entram microempresas e empresas de pequeno porte, incluindo o MEI, com receita bruta anual de até R$ 4,8 milhões (Lei Complementar nº 123/2006, art. 3º, II), startups com receita de até R$ 16 milhões (Lei Complementar nº 182/2021, art. 4º, § 1º, I), entidades sem fins lucrativos e pessoas naturais que tratam dados como controladoras ou operadoras. Ficam de fora quem faz tratamento de alto risco (art. 4º: larga escala ou impacto significativo, somado a tecnologia nova, vigilância, decisão automatizada ou dados sensíveis, de crianças, adolescentes ou idosos) e quem pertence a grupo econômico acima dos limites (art. 3º).

A dispensa não elimina a obrigação de atender o titular. Quem não indica encarregado precisa oferecer um canal de comunicação (art. 11, § 1º). E aqui a ANPD foi específica: no seu 3º Relatório de Ciclo de Monitoramento, ela registrou que muitas empresas só oferecem um formulário no site, sem comprovante de envio, e que formulários ou sistemas que exigem cadastro prévio não são adequados para cumprir o art. 41. Publique um e-mail.

O mesmo relatório descreve a fiscalização de 20 empresas grandes, entre elas Vivo, TikTok, Uber, Latam e Serasa, por falta de encarregado ou de canal adequado: 14 entregaram toda a documentação, 6 tinham lacunas, receberam avisos e corrigiram. E a Nota Técnica nº 54/2025 da ANPD avisa que a ausência de encarregado e a falta de comunicação de incidente podem levar a processo sancionador mesmo fora dos temas prioritários de fiscalização.

Ferramentas no exterior: transferência internacional

Hospedagem, analytics, CRM e ferramenta de e-mail costumam guardar dados fora do Brasil. Isso é transferência internacional, e o art. 33 só a permite em casos definidos. Para um site, os caminhos práticos são dois:

• País ou organismo com decisão de adequação. Pela Resolução CD/ANPD nº 32, de 26 de janeiro de 2026, a ANPD reconheceu a União Europeia como adequada, o que inclui os países do bloco e Islândia, Liechtenstein e Noruega (veja a lista de regulamentações da ANPD). Os Estados Unidos não têm decisão de adequação.
• Cláusulas-padrão contratuais da ANPD. A Resolução nº 19/2024 aprovou o texto das cláusulas e deu 12 meses, contados da publicação, para quem usava cláusulas contratuais incorporá-las aos contratos. Esse prazo terminou em agosto de 2025.

A mesma resolução cria um dever que aparece no site: o controlador publica, em português e em linguagem simples, um documento sobre a transferência com a forma, a duração e a finalidade, o país de destino, a identificação do controlador, o uso compartilhado, as responsabilidades e medidas de segurança e os direitos do titular (art. 17, § 2º). Esse texto pode ficar dentro da política de privacidade, em seção destacada (§ 3º). Se o titular pedir, você entrega a íntegra das cláusulas em 15 dias (art. 17, § 1º).

O trabalho prático: liste cada fornecedor do inventário, o país onde ele guarda os dados e o mecanismo do art. 33 que ele oferece. Se o contrato do fornecedor não menciona as cláusulas da ANPD, pergunte por escrito.

Direitos do titular e prazos de resposta

O art. 18 garante ao titular, sem custo, confirmação, acesso, correção, eliminação, portabilidade, informação sobre compartilhamento e revogação do consentimento. Os prazos de resposta:

O regulamento dos direitos dos titulares ainda está por vir: o tema abre a lista da Agenda Regulatória 2025-2026 da ANPD, segundo a Nota Técnica nº 54/2025. Enquanto ele não sai, responda sem demora e registre a data do pedido e da resposta. Se não puder atender, o art. 18, § 4º, manda responder dizendo por quê ou indicando quem é o agente de tratamento. O titular pode reclamar à ANPD e também aos órgãos de defesa do consumidor (art. 18, §§ 1º e 8º).

Sanções e casos reais

O art. 52 vai da advertência à proibição da atividade de tratamento. No meio estão a multa simples de até 2% do faturamento no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, a multa diária, a publicização da infração, o bloqueio ou a eliminação dos dados e a suspensão do banco de dados por até 6 meses. A boa-fé, a cooperação, as boas práticas e a pronta correção reduzem a pena (art. 52, § 1º, e Resolução CD/ANPD nº 4/2023).

Contamos os processos sancionadores que a ANPD lista na sua página de decisões em processos sancionadores em 17 de outubro de 2026: são 10, e só 2 envolvem empresas privadas. Os outros 8 são órgãos públicos, como o INSS, o Ministério da Saúde e secretarias de estado.

• Telekall Inforservice (2023). A primeira empresa sancionada. Segundo a cobertura da Teletime na época (a decisão original não estava acessível no site da ANPD quando a procuramos), ela recebeu uma advertência por infração ao art. 41, sobre o encarregado, e duas multas de R$ 7,2 mil, uma pelo art. 7º da LGPD e outra pelo art. 5º do Regulamento de Fiscalização da ANPD, somando R$ 14,4 mil.
• ByteDance Brasil (2026). No Despacho Decisório nº 27/2026, assinado em 24 de agosto de 2026, a ANPD aplicou multas que somam R$ 153.769.671,33 por cinco condutas ligadas a dados de crianças e adolescentes no TikTok: tratar dados de menores de 18 anos sem base legal válida (art. 7º), não adotar medidas para impedir o acesso e o cadastro de menores de 13 anos (art. 6º, VIII) e não demonstrar medidas eficazes de prestação de contas (art. 6º, X). Cada conduta ficou abaixo do teto de R$ 50 milhões; a soma passa dele porque são infrações diferentes. A decisão também manda eliminar os dados de adolescentes cuja representação não for regularizada em 60 dias úteis, com multa diária de R$ 137.081,49. É uma decisão de primeira instância, com recurso possível, e a página da ANPD marcava o processo como em andamento.

A lição para quem tem um site: as multas a empresas privadas já foram de R$ 14,4 mil a R$ 153,8 milhões, e no caso ByteDance parte da multa veio de não conseguir demonstrar o que foi feito. Documentar inventário, bases legais e respostas a titulares é obrigação da lei (art. 6º, X).

Checklist LGPD para um site

O que fazer agora

Comece pelo inventário da aba Rede e pelo teste do botão rejeitar: são os dois passos que mostram se o site faz o que a política diz. Se for refazer o site, inclua a privacidade no escopo desde o começo; ver quanto custa um site no Brasil ajuda a orçar essa parte. Se quiser que a Dardo implemente o banner, as tags condicionadas ao consentimento e o analytics, veja configuração de analytics e desenvolvimento web; para manter tudo funcionando depois de cada mudança, há a manutenção de sites, com preços na nossa página de preços.